以下に

• 原始の木
• MCS後の木
• MCS及び因数分解した木

の3つの木のレビューロジック図を示します。原始の木は過去記事に詳細が書かれています。

• 原始の木 --- これは元々のPart4から作成した木であり、制御のフロー(RBD)を出力から入力まで辿って作成した木です。
• MCS後の木 --- これは原始の木に対してSAPHIREでMCSをとったものです。OR-ANDの2段論理に圧縮されていることがわかります。積項数は当初110でしたが、それを65に枝刈りしました。
• MCS及び因数分解した木 --- 原始の木のMCSを取ってから3次以上のフォールトを枝刈りし、さらに因数分解を行ったものです。これによりAND-ORの形になるように(なるべくANDを上に上げるように)したところ、メインマイコン各部のフォールトとサブマイコン各部のフォールトの組み合わせということがはっきりし、その他PCB上の共通の電源部は一点故障点として表れています。

前のブログ 次のブログ

図903.1のTreeをFault Tree Logic構文で記述したものが以下の表です。

前のブログ 次のブログ

この65項の積項から成る論理式が簡単化できるか、ChatGPTに聞いてみます。

以下は与えられた論理式（縦方向がOR、行中のコンマでAND）の因数分解結果です。

(略)

集合Aを $$ A := \{BE001\_01, BE001\_02, BE001\_03, BE001\_05, BE001\_09, BE014\_01, BE027, BE028\} $$ とし、集合Bを $$ B := \{BE002\_01, BE002\_02, BE002\_03, BE002\_09, BE002\_15, BE015\_01, BE030, BE031\} $$ とすると、上記64行はすべて$(a \land b)$で$a \in A, b \in B$の組み合わせによる全ての直積を網羅しています(8×8=64)。

従って、64行分は以下のように因数分解できます。

$$ \bigvee_{a \in A}\bigvee_{b \in B}(a \land b) \\ = (BE001\_01 \lor BE001\_02 \lor BE001\_03 \lor BE001\_05 \lor BE001\_09 \lor BE014\_01 \lor BE027 \lor BE028) \\ \land (BE002\_01 \lor BE002\_02 \lor BE002\_03 \lor BE002\_09 \lor BE002\_15 \lor BE015\_01 \lor BE030 \lor BE031) $$

さらに、元の式にはこれら64個のAND項に加えて1行目に単独のリテラル$BE025$で存在するので、全式は次のようになります。

$$ BE025\\ \bigl((BE001\_01 \lor BE001\_02 \lor BE001\_03 \lor BE001\_05 \lor BE001\_09 \lor BE014\_01 \lor BE027 \lor BE028)\\ \land (BE002\_01 \lor BE002\_02 \lor BE002\_03 \lor BE002\_09 \lor BE002\_15 \lor BE015\_01 \lor BE030 \lor BE031)\bigr) $$

これが要求された因数分解後の論理式です。

この論理式をFT図にすれば過去記事のとおり、次の図のようになります。

BE001はメインマイコンであり、BE001_*はメインマイコン各部のフォールトです。さらに、BE002はサブマイコンであり、BE002_*はサブマイコン各部のフォールトです。

従って、このFTはメインマイコン各部とサブマイコン各部のフォールトがいずれか一個の計2個起きるか、またはPCB上の電源ICがフォールト(BE025)するかのいずれかであり、マイコンとしては冗長構成をとる、安全性の高い回路となっていることがわかります。

前のブログ 次のブログ

弊社コンテンツの11月の検索結果です。

前のブログ 次のブログ

3項以上の積項をカットします。その理由は3つ以上のフォールトが重なる確率は非常に低いため、規格上は安全フォールトとなっているためです。カットするには図905.1のように、Size <= 2と入力します。

すると、積項数は図905.2のように65個となります。頂上事象侵害確率は$6.543\times10^{-5}$で前ページと変わりません。

前のブログ 次のブログ

前ページのロジックのMCSを取得したものを図904.1に示します。積項数は110個となりました。

前のブログ 次のブログ

前記事#28のFT図の論理を再構成しました。これはトランスファーゲートを多用したもので、具体的にはメインマイコン系とサブマイコン系の故障木が何回も現れるので、最初の木はそのまま構成し名前を付け、2度目以降は出てきた場合にはその名前の木に飛ばす機能を持つゲートを用います。

図903.1のうち赤上↑がトランスファーゲートで、既に出てきている同じ木であることを意味します。

前のブログ 次のブログ

弊社コンテンツの10月の検索結果です。

前のブログ 次のブログ

PMHFの算出法について以下の動画を見つけました。どうやらコンサル会社のビデオのようです。https://youtu.be/ndG1Kcc89hs

メディニアナライザを使用したようですが、PMHFの値は一見して誤っています。

表の数値を見る限り、計算方法はSPFとDPFを加えて $$ PMHF=\lambda_\text{SPF}+\lambda_\text{MPF, latent} $$ となっているようです。

この誤りは大変多く、過去にも

• https://fs-micro.com/post/show/id/324.html
• https://fs-micro.com/post/show/id/325.html
• https://fs-micro.com/post/show/id/326.html

と複数あり、それらの誤りは以下の論文$\dagger$が元凶のようです。

一方、以下に前記事にもあるようにPart 5のAnnex Fに掲載されている近似式を示します。 $$ PMHF=\lambda_\text{SPF}+\lambda_\text{MPF, latent}\cdot\lambda_\text{MPF, detected}\cdot T_\text{lifetime} $$ この式はSPFとDPFをそれぞれを正しく確率に直してから加え、最後に車両寿命で割っています。そのことは両辺に車両寿命をかけると良く分かります。

それにしてもPMHFを算出する人たちはなぜ規格Part 10の、もしくはPart 5(上記)の式を用いずに、誤りの論文$\dagger$の式を参照するのでしょうか？参考にするならせめて規格式を参考にすれば良いと思うのですが。

$\dagger$ † Y. Chang, L. Huang, H. Liu, C. Yang and C. Chiu, "Assessing automotive functional safety microprocessor with ISO 26262 hardware requirements," Technical Papers of 2014 International Symposium on VLSI Design, Automation and Test, Hsinchu, 2014, pp. 1-4, doi: 10.1109/VLSI-DAT.2014.6834876.

前のブログ 次のブログ

備忘のために表題の「2nd SMのASILの引き下げ」について記します。ISO 26262ではセレクトハイ原則やFFI等の原則で、低ASILエレメントが高ASILエレメントに影響を及ぼすことが禁止されています。そのような場合は低ASILエレメントはASILを引き上げるべきです。

一方その原則の例外があり、有名なものは「ASILデコンポジション」です。ところでこの用語は厳密には正しくなく、本来は「要求分割(デコンポジション)により結果的にASILが分割される」ものであり、ASILを任意に分割するものではありません。

この他に表記の場合の例外があります。Part 4 6.4.2はシステム設計における安全機構の要件を示したもので、6.4.2.1及び6.4.2.2が「フォールトを検出及び機能安全要求を侵害するシステムの出力に存在する故障を防止又は緩和する安全機構」、つまり1st SMについての要件です。さらに6.4.2.3～6.4.2.5が「フォールトがレイテント状態になるのを防止する安全機構」、つまり2nd SMについての要件です。

ここで6.4.2.5において、2nd SMとしてのみ働くエレメントのASILは以下のように引き下げることが可能と書かれています。以下は規格に書かれていない文言をカッコ内に補って記述しています。

Part 4 - 6.4.2.5

• (IFまたは1st SMに)割りつけられた安全要求のASILがASIL-Dのとき、その2nd SMはASIL-B
• (IFまたは1st SMに)割りつけられた安全要求のASILがASIL-BまたはASIL-Cのとき、その2nd SMはASIL-A
• (IFまたは1st SMに)割りつけられた安全要求のASILがASIL-Aのとき、その2nd SMはQM

すなわち、ASIL-Bを除きASILを2段階引き下げることが可能です。ASIL-Bの時は1段階となります。

前のブログ 次のブログ